禁用无线网络接口需软硬协同：先黑名单驱动并更新initramfs，再禁用NetworkManager管理，最后BIOS/UEFI关闭无线并确认物理开关状态，三者缺一不可。
禁用无线网络接口是Linux系统物理安全加固的重要环节，尤其适用于对网络隔离要求严格的办公环境、服务器机房或涉密终端。核心目标是彻底阻断Wi-Fi通信能力，防止通过无线信道被探测、劫持或植入恶意流量。
确认无线接口并永久禁用驱动
先识别系统中所有无线设备：
- 运行 lspci | grep -i wireless 或 lsusb | grep -i wifi 查看硬件型号
- 用 ip link show 或 iwconfig 确认无线接口名（如 wlan0、wlp2s0）
- 查出对应内核模块：例如 lspci -k -s $(lspci | grep Wireless | awk '{print $1}') | grep "Kernel modules"
禁用驱动最可靠的方式是黑名单机制：
- 编辑 /etc/modprobe.d/blacklist-wifi.conf，添加一行：
blacklist rtl8192cu（根据实际模块名替换，常见有 iwlwifi、ath9k、rt2800usb 等） - 执行 sudo update-initramfs -u（Debian/Ubuntu）或 sudo dracut --force（RHEL/CentOS/Fedora）更新启动镜像
- 重启后验证：运行 lsmod | grep -i wifi 应无输出，ip link show 中无线接口不再出现
禁用NetworkManager自动管理
即使驱动被屏蔽，部分发行版的NetworkManager仍可能尝试加载固件或报错。需明确禁止其接管无线设备：
- 编辑 /etc/NetworkManager/NetworkManager.conf
- 在 [keyfile] 段落下添加：
unmanaged-devices=interface-name:wlan0;interface-name:wlp2s0（列出所有已知无线接口名） - 重启服务：sudo systemctl restart NetworkManager
物理层加固：BIOS/UEFI与硬件开关
软件禁用存在被绕过风险，必须结合底层控制：
- 进入 BIOS/UEFI 设置（开机按 F2/Del/ESC），查找 Wireless LAN、Wi-Fi Device 或 Onboard WLAN 选项，设为 Disabled
- 部分笔记本带物理无线开关（如 Fn+F5、滑动拨杆），确保处于关闭状态；若不可见，检查厂商文档确认是否支持硬件级切断
- 对台式机或Mini PC，可直接拔除M.2 Wi-Fi模块或拆除Mini PCIe无线卡
持续验证与审计机制
禁用不是一次性操作，需建立定期检查习惯：
- 编写简易检测脚本（如检查 lsmod | grep -q 'iwlwifi\|ath9k' 返回非零值则告警）
- 将无线接口名加入 /etc/network/interfaces（Debian系）或 /etc/sysconfig/network-scripts/ifcfg-wlan0（RHEL系）并设为 ONBOOT=no，双重保险
- 在安全基线检查中纳入：无线驱动是否加载、接口是否UP、NetworkManager是否忽略该设备
不复杂但容易忽略的是BIOS级禁用和驱动黑名单的配合——仅关接口或停服务无法阻止内核模块自动加载，仅拉黑模块又可能被新内核更新绕过。三者协同才能形成有效防护闭环。
